Wat is de AI Act?

Hoe werkt de AI Act?

De AI Act (Verordening (EU) 2024/1689) geldt direct in alle lidstaten. De wet kijkt niet naar de techniek, maar naar het gebruik: hetzelfde taalmodel kan in de ene toepassing vrijwel ongereguleerd zijn en in de andere onder de strengste eisen vallen.

Daarnaast maakt de wet onderscheid tussen rollen. De aanbieder ontwikkelt een AI-systeem of brengt het op de markt, de gebruiksverantwoordelijke zet het in binnen de eigen organisatie. Bouw je zelf een toepassing op een bestaand model, dan kun je beide rollen tegelijk hebben.

De vier risiconiveaus

• Verboden praktijken: onder meer sociale scoring, manipulatie die mensen schade toebrengt en emotieherkenning op de werkplek of in het onderwijs.
• Hoog risico: AI in gevoelige domeinen zoals werving en selectie, onderwijs, toegang tot essentiële diensten en kritieke infrastructuur, en AI in gereguleerde producten zoals medische hulpmiddelen. Hiervoor gelden eisen aan risicobeheer, datakwaliteit, documentatie, logging en menselijk toezicht.
• Transparantierisico: chatbots moeten laten weten dat iemand met AI praat, en door AI gemaakte content moet als zodanig herkenbaar zijn.
• Minimaal risico: de meeste toepassingen, zoals spamfilters of interne zoekfuncties, hebben geen extra verplichtingen. AI-geletterdheid geldt wel voor iedereen die met AI werkt.

De tijdlijn na de Digital Omnibus

In 2026 paste de EU de AI Act aan met de Digital Omnibus on AI, die in juli 2026 in werking trad. De belangrijkste wijziging: de deadlines voor hoog-risicosystemen schoven op naar vaste data. Controleer de actuele tekst altijd op EUR-Lex, want de Commissie werkt de uitvoering nog uit met richtsnoeren en normen.

• 2 februari 2025: verboden praktijken en de plicht tot AI-geletterdheid gelden.
• 2 augustus 2025: regels voor aanbieders van AI-modellen voor algemene doeleinden, zoals de grote taalmodellen.
• 2 augustus 2026: transparantieplichten gelden. Systemen die al eerder op de markt waren, hebben tot 2 december 2026 om gegenereerde content te markeren.
• 2 december 2027: eisen voor zelfstandige hoog-risicosystemen, zoals AI in werving of onderwijs.
• 2 augustus 2028: eisen voor hoog-risico-AI die onderdeel is van gereguleerde producten.
• 2 augustus 2030: bestaande hoog-risicosystemen bij overheidsorganisaties moeten voldoen.

Wat betekent de AI Act voor een groot AI-project?

Begin met een inventarisatie: welke AI-systemen gebruik je, in welke rol en in welke risicocategorie? Grote organisaties ontdekken daarbij vaak toepassingen die buiten IT om zijn ingekocht. Valt een systeem onder hoog risico, dan moet je de eisen in je ontwerp opnemen: logging, menselijk toezicht en documentatie zijn achteraf duur om in te bouwen.

Het uitstel van de hoog-risicodeadlines is geen reden om te wachten. Een aanbesteding, ontwikkeling en ingebruikname van een groot systeem kost al snel een jaar of meer, dus wat je nu bouwt, moet in december 2027 voldoen.

Valkuilen

• Alleen naar het model kijken: de risicocategorie hangt af van de toepassing, niet van de leverancier of het model.
• De AVG vergeten: de AI Act komt bovenop de privacywet, niet in plaats daarvan. Een DPIA blijft nodig waar je persoonsgegevens verwerkt.
• Compliance als eenmalig project zien: elke nieuwe toepassing en elke modelwissel vraagt een nieuwe beoordeling. Dat vraagt om governance, niet om een losse check.
• Uitgaan van verouderde data: veel overzichten noemen nog augustus 2026 als deadline voor hoog risico. Sinds de Digital Omnibus klopt dat niet meer.